Alerta de ciberseguridad: explotación activa de CVE-2026-0257 en PAN-OS GlobalProtect permite autenticación sin credenciales

Palo Alto Networks ha advertido que ya se están observando explotaciones activas de la vulnerabilidad CVE-2026-0257 en PAN-OS, relacionada con el portal y gateway de GlobalProtect. Inicialmente catalogada como de gravedad media porque exige configuraciones concretas —como el uso de cookies de anulación de autenticación (authentication override cookies) y una configuración específica de certificados— la empresa elevó la calificación a alta tras detectar intentos de explotación contra dispositivos sin parchear.

El vector técnico de la falla es significativo desde el punto de vista operativo: PAN-OS descifra las cookies de anulación de autenticación con una clave privada configurada y confía en su contenido sin verificar la firma. Si el mismo certificado se utiliza para los servicios HTTPS y para esas cookies, un atacante puede obtener el certificado público a través de la sesión HTTPS y fabricar cookies firmadas que el dispositivo aceptará como válidas. Rapid7 publicó un PoC que demuestra este flujo y documentó observaciones de explotación desde el 17-18 de mayo, incluyendo infraestructura en proveedores de hosting pública como Vultr y Dromatics Systems; el aviso de Rapid7 incluye detalles técnicos y cronología: análisis de Rapid7.

Que esta vulnerabilidad haya sido incluida en el catálogo de CISA de vulnerabilidades explotadas (Known Exploited Vulnerabilities) implica una presión regulatoria concreta: las agencias federales de EE. UU. deben implementar mitigaciones rápidamente, y muchas organizaciones privadas deben tratarla con la misma prioridad. La entrada en el catálogo puede consultarse aquí: CISA KEV. Para la referencia técnica oficial sobre la CVE, la ficha del NVD aporta detalles y numeración: CVE-2026-0257 en NVD.

Desde una perspectiva de riesgo, hay dos mensajes claros: primero, la explotación permite la autenticación sin credenciales válidas en el componente VPN, con la posibilidad de llegar a recursos internos si el atacante consigue establecer la sesión completa; segundo, aunque Rapid7 informa que en muchos casos no se completó la sesión VPN, la aceptación de la cookie forjada ya constituye un compromiso del proceso de autenticación y debe tratarse como tal hasta demostrar lo contrario mediante investigación forense.

Las acciones inmediatas que deben realizar los equipos de seguridad son claras y urgentes. En primer lugar, aplicar los parches oficiales de Palo Alto en cuanto sea posible; el parche es la corrección definitiva. Si por motivos de compatibilidad no es viable actualizar de inmediato, se deben aplicar mitigaciones temporales: deshabilitar la funcionalidad de authentication override cookies, o asegurarse de que el certificado utilizado para las cookies sea exclusivo y no reutilizado para servicios HTTPS. Palo Alto mantiene un comunicado con las instrucciones que conviene seguir paso a paso.

Además del parche y las mitigaciones en el appliance, es imprescindible un trabajo de detección y respuesta: revisar logs de GlobalProtect para intentos de autenticación inusuales, buscar sesiones establecidas desde IPs externas recientes asociadas con los vectores observados y auditar cambios en cuentas administrativas. Si existe sospecha de acceso no autorizado, conviene aislar el equipo afectado de la red interna, preservar imágenes de disco y volcados de memoria y activar un proceso de respuesta digital coordinado con el equipo de forense.

No hay que olvidar medidas complementarias de seguridad: segmentación de red para limitar el alcance de una VPN comprometida, endurecimiento de la gestión remota (acceso administrativo limitado por listas de control de IP o VPN administrativa separada), y rotación de claves/certificados si existe posibilidad de que hayan sido exfiltrados. Implementar o reforzar controles de monitorización de comportamiento y alertas específicas para inicios de sesión inesperados puede reducir el tiempo hasta la detección.

En términos organizativos, este incidente es un recordatorio de que las configuraciones por defecto o la reutilización de artefactos criptográficos amplifican el riesgo. Las prácticas de gestión de certificados, inventario de activos y pruebas periódicas de configuración (incluyendo revisiones de funciones como la de override) deben formar parte de los programas de gestión de vulnerabilidades. Herramientas de gestión de parches y flujos de trabajo que priorizan CVE con explotación activa son esenciales para reducir la ventana de exposición.

Para equipos que gestionan appliances GlobalProtect, mi recomendación práctica final es no asumir que “no hay evidencia de movimiento lateral” significa que no existe riesgo: tratar cada detección como potencial compromiso, aplicar parches, cambiar certificados comprometidos, auditar accesos administrativos y, si corresponde, notificar a clientes y reguladores según políticas de incidentes. La página de Palo Alto con las indicaciones y parches es el punto de partida técnico que debe consultarse de forma inmediata: página de Palo Alto Networks sobre CVE-2026-0257.